Usare Microsoft Clarity in modo conforme al GDPR

Microsoft Clarity (clarity.ms) fornisce mappe di calore e registrazioni di sessione e trasmette dati a Microsoft (USA).

Il fatto che Clarity sia gratuito non cambia la situazione giuridica: la registrazione delle sessioni e le heatmap catturano il comportamento di singoli visitatori e sono quindi chiaramente soggette a consenso. Secondo quanto dichiarato, Microsoft usa i dati aggregati anche per finalità proprie — questo rende discutibile la classificazione come mero trattamento per conto e rende ancora più importante un accordo sul trattamento pulito oltre alla verifica della contitolarità.

La leva tecnica più importante è il mascheramento. Se è impostato su «Balanced» o «Relaxed», input in chiaro e contenuti di pagina possono finire nelle registrazioni — inclusi dati personali di terzi visibili per errore. «Strict» maschera tutti i testi e gli input ed è l'impostazione di base parsimoniosa nei dati.

Per il trasferimento negli USA vale lo stesso che per altri servizi Microsoft: tramite l'EU-US Data Privacy Framework, il trasferimento a Microsoft è in linea di principio garantito finché esiste la certificazione. Ciò va indicato nell'informativa come base del trasferimento.

Clarity può essere collegato a Google Analytics e a Microsoft Advertising. Queste integrazioni ampliano la finalità: da una semplice comprensione del comportamento si passa a una base di dati per l'analisi e l'ottimizzazione pubblicitarie. Chi attiva il collegamento deve riflettere la finalità ampliata nel consenso e nell'informativa — un consenso raccolto come «statistica» non copre le finalità pubblicitarie.

In pratica, Clarity può essere limitato tramite le impostazioni del progetto: le registrazioni possono essere ristrette a determinate aree tramite regola di URL o escluse da pagine sensibili (login, account, cassa), e singoli elementi possono essere controllati specificamente tramite data-clarity-mask / data-clarity-unmask. Meno si registra, più semplice è la giustificazione.

È un rischio?

Come per altre registrazioni di sessione si applica il § 25 c. 1 TDDDG: uso solo dopo consenso preventivo. Inoltre è necessario un contratto di responsabile del trattamento con Microsoft e il trasferimento verso un Paese terzo va giustificato.

Cosa puoi fare

• Classificare Clarity nella categoria che richiede il consenso e caricarlo solo dopo.
• Impostare il mascheramento su «strict» affinché testo e digitazioni non vengano registrati.
• Concludere un contratto di responsabile; nell'informativa privacy nominare Microsoft come destinatario e il trasferimento negli USA.

Domande frequenti

Microsoft Clarity è utilizzabile senza banner cookie?

No. Clarity imposta cookie e registra il comportamento — questo è soggetto a consenso ai sensi dell'art. 25, comma 1 TDDDG. Senza consenso attivo lo script non deve caricarsi.

Serve un accordo sul trattamento dei dati per Clarity?

Sì. Microsoft fornisce le condizioni contrattuali; andrebbero documentate e annotate nel registro dei trattamenti. Poiché Microsoft usa in parte i dati per finalità proprie, va inoltre verificato se sussiste una contitolarità.

Quale livello di mascheramento dovrei scegliere?

«Strict». Così tutti i testi e gli input dei moduli nelle registrazioni vengono mascherati, il che riduce nettamente il rischio di dati personali catturati per errore.

In cosa Clarity si differenzia da Google Analytics riguardo al GDPR?

Entrambi sono soggetti a consenso. Clarity cattura in più svolgimenti di sessione concreti (movimento del mouse, clic, scorrimento), il che incide più profondamente sulla privacy rispetto alla misurazione aggregata della copertura di GA4.

Per quanto tempo Microsoft Clarity conserva i dati?

Microsoft indica una conservazione delle registrazioni e dei dati delle heatmap di circa 30 giorni, dopodiché vengono eliminati o aggregati. Il periodo concreto e le categorie di dati trattati vanno comunque indicati nell'informativa.

Clarity può caricarsi solo su determinate pagine?

Sì, ed è consigliabile. Tramite regole di URL nel progetto Clarity, la registrazione può essere ristretta a pagine non critiche ed esclusa dalle pagine di login, account e cassa. Questo riduce nettamente il rischio di dati personali catturati per errore.

Come aiuta consentglass

La scansione gratuita verifica l'HTML fornito e mostra quali servizi sono integrati, se viene rilevato un banner cookie e se i link a privacy e note legali sono presenti — con inquadramento per ogni riscontro. Non sostituisce una consulenza legale.